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La fotografía de la portada muestra una imagen generada en un calidoscopio de pola- 
rización. Los trocitos de plástico transparente diferentemente tensados que hay en el 


extremo del tubo del calidoscopio 


opuesto al ocular cambian la polarización de la luz 


que penetra en el instrumento atravesando un filtro polarizador. En el extremo co- 
rrespondiente al ocular hay un segundo filtro polarizador. Cuando se gira el tubo, se 
presentan a la vista diferentes trozos de plástico tensado. Como cada trozo cambia la 
polarización de la luz de un modo característico, parte de los colores del espectro lu- 
minoso atraviesan el segundo filtro polarizador y parte no. El observador contempla 
así una cambiante figura coloreada. En otros calidoscopios modernos se combina un 
diseño imaginativo con la técnica electrónica. En un modelo, los impulsos sonoros go- 
biernan un conjunto de diodos emisores de luz, de tal modo que la figura reluce y varía 
reaccionando a los sonidos (véase “Taller y laboratorio” en este mismo número). 
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Soporte lógico 
para la defensa antimisil 


El proyecto de defensa denominado “guerra de las galaxias” se apoyaría en el 


control que ejercieran los ordenadores sobre una compleja red de armamentos. 


Quizá resulte imposible el desarrollo de programas fiables para tal sistema 


EG l objetivo final de la Inicia- 
E tiva de Defensa Estratégica 
(IDE) es eliminar la ame- 
naza planteada por los misiles balísticos 
nucleares” se afirma en la carta provi- 
sional del Organismo para la Iniciativa 
de Defensa Estratégica. Para alcanzar 
ese objetivo de defensa total, el De- 
partamento de Defensa de los Estados 
Unidos ha autorizado a esa instancia la 
gestión de programas de investigación 
que examinen la viabilidad del desarro- 
llo tecnológico necesario para una de- 
fensa contra misiles balísticos (BMD) 
destinada a proteger ciudades y asen- 
tamientos militares. Tal sistema defen- 
sivo destruiría o incapacitaría los vehí- 
culos de transporte de las ojivas nu- 
cleares, en el camino hacia sus objeti- 
vos, valiéndose de una amplia gama de 
armas defensivas: láseres, haces de par- 
tículas, guías electromagnéticas o ve- 
hículos no explosivos de impacto di- 
recto. 

El Organismo para la Iniciativa de 
Defensa Estratégica reconoce que la 
importancia de la tecnología informá- 
tica que controlaría cada una de las ar- 
mas, y que coordinaría su funciona- 
miento, es comparable con la del de- 
sarrollo de las nuevas tecnologías de in- 
terceptación. El sistema de mando y 
control de la defensa total contra mi- 
siles balísticos debe ser capaz de recibir 
y actuar sin problemas con la infor- 
mación procedente de miles de rampas 
de lanzamiento, decenas de miles de 
cabezas nucleares y cientos de miles de 
señuelos. Debe hacerlo en la media 
hora que emplearía un misil balístico 
intercontinental (IcBM) para viajar 
desde su rampa de lanzamiento, en la 
Unión Soviética, hasta su objetivo en 
los Estados Unidos. Dado que en su 
mayor parte el sistema ha de estar au- 
tomatizado, no habría tiempo para que 
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la intervención humana corrigiera fa- 
llos inesperados. Una vez puesto en 
servicio un sistema BMD, las decisiones 
humanas se substituirían por la ejecu- 
ción de un programa de ordenador. 
Antes de que los Estados Unidos 
emprendan un serio esfuerzo en el de- 
sarrollo del soporte lógico de un sis- 
tema de tales características convendría 
plantearse tres cuestiones: ¿Cuál es la 
naturaleza de un sistema BmD? ¿Cuáles 
son los obstáculos que se opondrían al 
desarrollo de la programación del ¿mb? 
¿Pueden salvarse esos obstáculos? 


E sistema de defensa total que los 
funcionarios del Organismo para 
la Iniciativa de Defensa Estratégica (y 
sus críticos) han examinado más asi- 
duamente consta de cuatro escalones, 
es decir, la defensa contra los misiles 
balísticos atacaría a los misiles hostiles 
en cada una de las cuatro fases de su 
vuelo, que son: la de lanzamiento, en 
la que un vehículo de varias fases sitúa 
la carga por encima de la atmósfera; la 
de postlanzamiento, durante la cual un 
vehículo maniobrable, el “autobús”, li- 
bera sencuencialmente por encima de 
la atmósfera terrestre vehículos de 
reentrada con ojivas nucleares y “ayu- 
das a la penetración”, como señuelos o 
trampas; la etapa intermedia, en la que 
los vehículos de reentrada y los señue- 
los recorren la mayor parte de su tra- 
yectoria, y la etapa terminal, en la que 
las cabezas nucleares a bordo de sus ve- 
hículos de transporte penetran en la at- 
mósfera y detonan sobre sus objetivos. 

En un sistema defensivo contra mi- 
siles balísticos desplegado en cuatro es- 
calones, los interceptores disfrutan de 
varias oportunidades para destruir las 
armas ofensivas. En cada escalón, el 
sistema debe detectar y rastrear con 
éxito sus objetivos para llegar a des- 


truirlos [véase “Defensa espacial y mi- 
siles balísticos”, por Hans A. Bethe, 
Richard L. Garwin, Kurt Gottfried y 
Henry W. Kendall; INVESTIGACIÓN Y 
Ciencia, diciembre de 1984]. Para 
coordinar la defensa y evaluar su efi- 
cacia se necesitan ordenadores y pro- 
gramas apropiados. Este proceso de 
coordinación se denomina dirección 
del combate. Aunque los expertos no 
se han decidido aún sobre cómo debe- 
ría organizarse, una hipotética estruc- 
tura comprendería ordenadores “loca- 
les” y programas responsables de la di- 
rección del combate en cada escalón 
defensivo. Los sistemas de cada esca- 
lón estarían interconectados entre sí 
mediante un sistema global de direc- 
ción del combate. 

Los programas que cumplieran la 
función de dirección dentro de cada es- 
calón defensivo controlarían los sen- 
sores y las armas asignados al mismo. 
Tales sensores localizarían y rastrea- 
rían los objetivos potenciales y sepa- 
rarían los objetivos reales de los señue- 
los. Los programas crearían un “fi- 
chero de seguimiento” que contendría 
toda la información conocida acerca de 
cada objetivo. Asimismo, asignarían 
recursos defensivos en cada escalón es- 
pecífico, coordinando la información 
del fichero de seguimiento con el ar- 
mamento disponible y con las reglas de 
acción, previamente programadas, que 
determinarían bajo qué circunstancias 
debería atacarse cada uno de los obje- 
tivos. El sistema global director del 
combate tendría en cuenta la enverga- 
dura y la naturaleza del ataque en curso 
y asignaría reglas de acción a cada es- 
calón. Para preparar un sistema local 
de dirección del combate que se en- 
frentara a las cabezas nucleares que hu- 
bieran escapado de escalones prece- 
dentes, el sistema global debería trans- 


mitir la información del fichero de se- 
guimiento y de los sensores, obtenida 
en la fase de seguimiento, al escalón 
defensivo subsiguiente. 

La defensa contra misiles balísticos 
dependería estrechamente de los pro- 
gramas que la controlan; cualquier pro- 
gramación defectuosa se traduciría en 
fracaso. Por tanto, el desarrollo del sis- 
tema de programación resulta un factor 
decisivo en el logro de los objetivos 
para los cuales se ha diseñado el sis- 
tema. 


E desarrollo de un sistema de pro- 
gramación es un proceso teórico 
que se divide en diversas etapas con- 
ceptuales; a saber: planificación, di- 
seño, realización, ensayo y depuración. 
Durante la realización de un proyecto 
real de programación de un sistema, las 
distintas etapas no se suceden secuen- 
cialmente; por ejemplo, iniciado ya un 
proyecto, puede que cambien los pla- 
nes y deban los programadores redise- 
ñar parte del mismo. 

La primera etapa importante en el 
desarrollo del soporte lógico es su pla- 
nificación, donde se determina qué 
funciones han de realizarse y se acotan 
las diferentes situaciones a las que de- 
ben responder los programas del sis- 
tema. A medida que una tarea crece en 
complejidad, resulta más difícil espe- 
cificar qué acción debe tomarse y 
cuándo. Un ejemplo simple nos ilustra 
este punto. Si se ha de contar el nú- 
mero de personas que hay en un pe- 
queño auditorio, resulta intuitivamente 
obvio cómo ha de procederse, pero, si 
se trata de contar la multitud que llena 
un estadio, el método a utilizar re- 
quiere una mayor elaboración. Por 
ejemplo, ¿cómo se definen los límites 
del estadio? ¿Cómo se define una per- 
sona? (¿Debe contabilizarse el feto de 
una mujer embarazada?) Así, factores 
que raramente aparecen y que por con- 
siguiente son irrelevantes en el primer 
caso pueden complicar el plan de un 
trabajo si crece su tamaño. 

La especificación precisa de lo que 
debe hacer una defensa contra misiles 
balísticos es una tarea compleja. Por 
ejemplo, la instrucción “destrúyase 
todo misil soviético” bastaría si única- 
mente existieran misiles soviéticos y to- 
dos ellos tuvieran que destruirse bajo 
cualquier circunstancia. Pero el mundo 
no es tan sencillo. ¿Cómo pueden dis- 
tinguirse los misiles soviéticos de los 
que no lo son? ¿Qué ocurre si un misil 
soviético se dirige hacia un objetivo de 
la República Democrática Alemana? 
Aunque las preguntas anteriores afec- 


tan sólo a un aspecto superficial del 
plan detallado de trabajo, exponen por 
primera vez un problema fundamental 
con el que se enfrentarán reiterada- 
mente los técnicos: la dificultad de de- 
cidir si un aspecto particular de un pro- 
grama es o no conveniente. 

Además, ha de predecirse toda po- 
sible contingencia de forma exacta, y 
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decidir cómo deben responder en cada 
caso los programas. Por ejemplo, qué 
pasos deben ejecutar los programas si 
los ordenadores de un escalón dado del 
sistema de dirección del combate fa- 
llan. ¿Cómo podría una defensa contra 
misiles balísticos distinguir el lanza- 
miento de una lanzadera espacial so- 
viética del disparo de un 1cBm? Dado el 
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PROGRAMAS QUE CONTROLAN LA PROGRAMACION DE LA DEFENSA 


UNIDAD CENTRAL DE UN 
ORDENADOR (500.000 LINEAS) 


CONTRA MISILES BALISTICOS 
(10.000.000 DE LINEAS) 


1. NIVEL DE ESFUERZO que requiere cada una de las cuatro etapas de desarrollo del sistema de progra- 

mación para la defensa contra misiles balísticos (que según un estudio del Gobierno americano ocuparía 10 

millones de lineas de instrucciones de programación); se muestra frente al trabajo necesario para producir 

los programas que controlan la unidad central de un ordenador (500.000 líneas). Las etapas no se suceden 

estrictamente de una forma secuencial, pues se producen solapamientos. Cuando nos referimos a la etapa 

final entedemos las pruebas y la eliminación de los errores previos a la entrega del producto; ya en uso el 
eliminaciones 


sistemase requerirían más pruebas con sus 


deerrores. En cada proyectode 


desarrollo de programas, la columna dela izquierdarepresenta estimacionesmuy optimistas; ladela derecha 
representa puntos de vista menos optimistas. La función de escala que relaciona el nivel de esfuerzo con el 
tamaño del programa se ha tomado de Software Engineering Economics, de Barry W. Boehm. 
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número casi infinito de posibilidades, 
los responsables de la programación 
del sistema estarán sometidos a gran 
presión para que prevean todas las cir- 
cunstancias posibles. La simple rela- 
ción de todas las situaciones a las que 
podría enfrentarse un sistema BMD y de 
las acciones apropiadas que tuviera que 
tomar en cada caso ocuparían decenas 
de miles de páginas. A modo de com- 
paración, el Reglamento de Impuestos 
de los Estados Unidos, que es la plas- 
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2. ENTRE LOS SOPORTES FISICOS PROPUESTOS para un sistema defen- 
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mación legislativa de la Ley Federal de 
Impuestos, ocupa alrededor de unas 
3000 páginas. Así, la posibilidad de que 
en el plan detallado de los programas 
del BMD se consideren adecuadamente 
todas las situaciones potenciales es, 
como mínimo, tan improbable como la 
posibilidad de que no exista rendija le- 
gal alguna en las leyes de impuestos fe- 
derales. 

Para ilustrar este punto citaremos 
dos ejemplos. El 3 de junio de 1980 el 


SENSOR DE LA FASE 
INTERMEDIA 


- / 
VEHICULO DE — 
REENTRADA 


ESPEJO DE LASER Á 


Comando Norteamericano de Defensa 
Aeroespacial (NORAD) informó que los 
Estados Unidos eran atacados con mi- 
siles. El informe se atribuyó a un cir- 
cuito defectuoso de un ordenador que 
generó señales incorrectas. Si al desa- 
rrollar los programas responsables de 
procesar estas señales se hubiera tenido 
en cuenta la posibilidad de un fallo en 
los circuitos, la falsa alerta se habría 
evitado. 

El segundo ejemplo, relacionado con 








magnéticas y misiles. Además habría que contar también con sensores a bordo 














sivo contra misiles balísticos se cuentan una gran variedad de armas intercep- de satélites, aerotransportados y con base en tierra. Se atacaría a los misiles 
toras: láseres de gran potencia (con base terrestre o espacial), guías electro- balísticos enemigos en cada una de las fases de su trayectoria: la fase de lanza- 
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el hundimiento del destructor británico 
H.M.S. Sheffield, salió a la luz pública 
tras los análisis que siguieron a la gue- 
rra de las Malvinas. De acuerdo con 
ellos, los sistemas de alerta del radar 
del buque se habían programado para 
que identificaran el misil Exocet como 
“misil amigo”, puesto que el arsenal 
británico está dotado de ese tipo de ar- 
mas. En consecuencia, el sistema ig- 
noró las transmisiones del dispositivo 
de autoguía del Exocet hostil y permi- 









aa] 


cn a 








“La 


miento, durante la que el misil abandona la atmósfera en vuelo propulsado; la 
de postlanzamiento, en la que se van soltando los vehículos de reentrada, los 
señuelos y las piezas metálicas reflectoras del radar (cha); la fase intermedia, 


7 
FIN DE LA FASE DE 
POSTLANZAMIENTO 
(10 MINUTOS DESPUES 

DEL LANZAMIENTO) 


tió que éste alcanzara su objetivo, es 
decir, el Sheffield. 


E' la fase de diseño también son 
múltiples los posibles problemas. 
En ella debe resolverse la plasmación, 
en el ordenador, de los proyectos ela- 
borados en la etapa de planificación; se 
desarrollan los algoritmos que han de 
conformar los programas, la secuencia 
con que han de discurrir ciertas accio- 
nes, etcétera. En su estructura teórica 


Ra 


durante la cual los diversos objetos 
el espacio, y la fase terminal, en la que los vehículos de reentrada penetran en 
la atmósfera para detonar sobre los objetivos que se les haya asignado. 


esta fase se asemeja a la que se en- 
frenta un arquitecto cuando, una vez 
determinadas las necesidades de una 
casa, ha de dibujar sus planos. Si el ar- 
quitecto se equivoca al evaluar la ca- 
pacidad de drenaje del terreno, los ci- 
mientos quizá se inunden, provocando 
daños cuya reparación puede resultar 
muy costosa. De forma similar, tam- 
bién es caro corregir los errores de di- 
seño de los programas si no se detectan 
en esta fase. 


SATELITE DE >) 
VIGILANCIA ye 


SENSOR DE LA FASE 
DE LANZAMIENTO 


viajan la mayor parte de su trayectoria en 
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Ni siquiera importantes sistemas de 
programación se han visto exentos de 
tales errores de diseño. La cápsula es- 
pacial tripulada Gemini V erró su 
punto de amerizaje en 100 millas por- 
que su programa de guía ignoró el mo- 
vimiento de la Tierra respecto del Sol. 
En otro caso, se cerraron cinco reac- 
tores nucleares temporalmente porque 
un programa que evaluaba su resisten- 
cia a los terremotos aplicaba una suma 
aritmética de variables en lugar de la 
raíz cuadrada de la suma del cuadrado 
de las variables. No pueden, por tanto, 
predecirse ni la naturaleza ni la fre- 
cuencia de los errores de planificación 
y diseño; en realidad, esos errores sólo 
pueden eliminarse si los analistas los 
detectan con anticipación, tarea que re- 
sulta más ardua a medida que el ta- 
maño o la complejidad del sistema au- 
mentan. En consecuencia, detectar y 
corregir errores constituye uno de los 


aspectos fundamentales de todo pro- 
yecto de desarrollo de sistemas de pro- 
gramación. ¿Cómo detectarlos y cómo 
valorar la seguridad del funciona- 
miento de un sistema? 


os técnicas han demostrado su efi- 
cacia en la valoración de la exac- 
titud de un sistema de programación. 
Una de ellas es analítica y consiste en 
probar la corrección de los programas 
certificando matemáticamente que sus 
resultados se ajustan a ciertos criterios, 
especificados formalmente, al recibir 
datos de entrada conocidos. Con todo, 
aunque las pruebas de la correción de 
los programas ayudan a asegurar que el 
sistema de programación desarrolla sus 
especificaciones teóricas, no aseguran 
que éste cumpla su misión. Las pruebas 
completas son, como mínimo, compa- 
rables en tamaño con los programas 
que supuestamente verifican; los ana- 


SISTEMAS LOCALES DE 
:CCION 











listas se enfrentan entonces al pro- 
blema de comprender una prueba tan 
complicada como el propio programa. 
Por otra parte, el programa de prueba 
no garantiza el tiempo que emplearía 
un sistema en realizar “cálculos a 
tiempo real” (factor crítico que se dis- 
cutirá más adelante) ni revela la natu- 
raleza de la respuesta del sistema al re- 
cibir datos imprevistos. Finalmente, las 
pruebas de corrección no aseguran que 
las propias especificaciones reales del 
programa sean correctas. 

Una técnica más importante de va- 
loración consiste en la prueba empí- 
rica. Obviamente, la defensa contra 
misiles balísticos no puede someterse a 
prueba empírica a gran escala en con- 
diciones reales, ya que el coste de tal 
ensayo sería exorbitante. Más impor- 
tante aún, la Unión Soviética no podría 
distinguir con seguridad entre el lan- 
zamiento de gran número de misiles de 





3. ENLACE entre sensores, armas y ordenadores; es decisivo en el sistema de 
dirección del combate de la defensa contra misilesbalísticos (MD). Los sensores 
y las armas constituyen un escalón de defensa que debería estar bajo el control 
de un computador local de dirección del combate. Tal sistema localizaría y se» 
guiría el rastro de los objetivos potenciales, identificaría los blancosreales entre 
losseñuelos yla chatarrería, asignaría susarmas a blancos específicosen tiempos 
específicos y se aseguraría de que el blanco se hubiera destruido. Toda la infor- 
mación sobre los objetivos se transmitiría a un “fichero de seguimiento” y al 
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sistema contiguo de dirección del combate, así como a la dirección central de 
control del combate, que estaría en comunicación constante con las direcciones 
locales. Para cada una de ellas se específicaría bajo qué circunstancias precisas 
se hade atacar un blanco determinado, se transmitiría lainformación del fichero 
deseguimiento y se coordinarían las acciones necesarias para proteger el propio 
sistema BMD. Además, el ordenador central de dirección del combate recibiría 
la alerta precoz concerniente al inicio del ataque. La red que se muestra podría 
romperse mediante un ataque al sistema central de dirección del combate. 


ensayo y un ataque nuclear real por 
parte de los Estados Unidos. Por tanto, 
deben utilizarse formas más limitadas 
de evaluación empírica: pruebas a es- 
cala reducida, durante las cuales un sis- 
tema BMD actuase sólo contra unos po- 
cos misiles, y pruebas de simulación, en 
las que un ordenador presentara ame- 
nazas a gran escala contra los objetivos 
que debe proteger un sistema BMD. Al- 
gunos expertos mantienen que tales 
pruebas hacen innecesarios los ejerci- 
cios reales a gran escala. Sin embargo, 
aunque tales ensayos incrementan la 
seguridad de un sistema, no aseguran el 
cumplimiento de los objetivos de la de- 
fensa total contra misiles balísticos. 

Los problemas que surgen al integrar 
dos componentes individuales distintos 
en un sistema eficaz suelen aparecer 
sólo cuando se ensaya el sistema com- 
pleto en situaciones límite; no se dan 
esas situaciones en ensayos a pequeña 
escala. El sistema wwmccs (World 
Wide Military Command and Control 
System), red de comunicaciones utili- 
zada por las autoridades civiles y mili- 
tares para coordinar y transmitir infor- 
mación hacia y desde las fuerzas mili- 
tares norteamericanas en campaña, 
constituye un buen ejemplo de lo men- 
cionado antériormente. En su utiliza- 
ción rutinaria, cuando la transmisión 
de mensajes es baja, el sistema 
wwMccs funciona satisfactoriamente. 
Sin embargo, cuando el tráfico de men- 
sajes es alto, la respuesta del sistema 
varía. Durante un ejercicio realizado 
en 1977, el wwmccs se conectó a los sis- 
temas de mándo y control de varios 
centros regionales, actuando con una 
efectividad en la transmisión de men- 
sajes de sólo el 38 por ciento. 


ara superar las limitaciones de las 
P pruebas de pequeña escala, a me- 
nudo se cuenta con simuladores que 
crean situaciones de ataque probables. 
Aunque la información obtenida de la 
simulación supera la conseguida me- 
diante pruebas a pequeña escala, esta 
técnica, aplicada al ensayo de un sis- 
tema contra misiles balísticos, se ve li- 
mitada por varias razones. Primero, los 
simuladores no son capaces de repro- 
ducir las “signaturas”, o parámetros de 
los fenómenos físicos asociados a di- 
versos fenómenos, verbigracia, explo- 
siones nucleares simultáneas, de una 
forma rápida y suficientemente exacta 
para poner a prueba la capacidad de 
respuesta del sistema defensivo. Por 
tanto, los analistas deben “confiar” en 
las signaturas de cada uno de los fe- 
nómenos que eligen para simular; es 


decir, los fenómenos se “preprocesan” 
antes de introducirlos en el sistema de 
defensa. Al emplear información pre- 
procesada, no caben sorpresas durante 
la simulación que, por otra parte, debe 
probar cómo reacciona el sistema a cir- 
cunstancias no previstas, disminu- 
yendo, por tanto, el realismo de la 
prueba. 

Aunque los avances en la tecnología 
de los computadores han incrementado 
enormemente su velocidad de cálculo, 
y por consiguiente es más fácil diseñar 
simuladores que modelen situaciones 
más realistas, el incremento de la ve- 
locidad de cálculo no ayudará a simular 
datos de fenómenos físicos de los que 
se dispone un conocimiento teórico y 
empírico inadecuado. Por ejemplo, 
atendiendo a los conocimientos actua- 
les, los científicos no podrían modelar 
exactamente la explosión simultánea 
de varias ojivas nucleares en zonas cer- 
canas bajo ciertas condiciones. Y más 
importante aún, los simuladores no 
pueden reproducir satisfactoriamente 
todos los ataques plausibles, ya que un 
enemigo inteligente elige sólo a última 
hora los parámetros de un ataque real. 
Por tanto, la confianza en un sistema 
BMD obtenida a partir de pruebas si- 
muladas se apoya en la hipótesis de que 
los responsables de la simulación pue- 
den predecir y reproducir electrónica- 
mente la amplia gama de tácticas a las 
que podría recurrir el enemigo. 

El desarrollo del sistema de defensa 
aérea Aegis ilustra las limitaciones de 
los ensayos basados en la simulación. 
El sistema de dirección de combate del 
Aegis se diseñó para rastrear cientos de 
objetos volantes en un radio de 300 ki- 
lómetros, asignando armas suficientes 
para destruir del orden de 20 de los ob- 
jetivos situados dentro del alcance de 
sus misiles defensivos [véase “Armas 
inteligentes en la guerra naval”, por 
Paul F. Walker; INVESTIGACIÓN Y CIEN- 
cia, julio de 1983]. Se instaló el sistema 
en el crucero U.S.S. Ticonderoga. Una 
vez puesto en servicio el buque, el sis- 
tema se sometió a su primer ensayo 
real, durante el cual, por un error de 
programación que pruebas y simulacio- 
nes previas a pequeña escala no habían 
descubierto, fracasó en su intento de 
derribar 6 de 16 blancos. Dado lo li- 
mitado de aquellas pruebas, el sistema 
no se había enfrentado a más de tres 
blancos simultáneamente. En un ata- 
que de proporciones próximas a los lí- 
mites de diseño del sistema Aegis, po- 
siblemente los resultados hubieran sido 
peores. 

Son habituales los fallos durante las 


pruebas en condiciones reales; de he- 
cho, durante el primer ensayo de un 
nuevo sistema es inevitable su funcio- 
namiento defectuoso. En pruebas pos- 
teriores del Aegis, el sistema, ya refor- 
mado, no volvió a cometer los errores 
anteriores. Probablemente en futuras 
maniobras se descubran nuevos defec- 
tos, que a su vez se someterán a co- 
rrección, produciéndose en este pro- 
ceso una mejora gradual del funciona- 
miento del sistema. 

En contraste con el ejemplo ante- 
rior, la respuesta de una defensa total 
contra misiles balísticos no mejorará 
con la experiencia, ya que la prueba 
empírica a gran escala del sistema BMD 
consistiría en un ataque real a gran es- 
cala contra los Estados Unidos. Un sis- 
tema de dirección del combate más 
complejo que el Aegis, que ha de se- 
guir más objetivos y que ha de operar 
en un tiempo mucho más reducido, es 
improbable que funcione mejor que el 
Aegis. Además, un error en plena ba- 
talla daría escasa opción, si alguna, a 
los responsables del sistema para tomar 
nota y aprender de la experiencia. 


ein todo, los responsables del sis- 
tema de defensa contra misiles ba- 
lísticos intentarán mejorar el funcio- 
namiento del sistema, detectando y eli- 
minando fallos, modificando sus carac- 
terísticas en respuesta a nuevas nece- 
sidades y añadiendo nuevos soportes 
físicos y programas al proyecto. Tales 
esfuerzos, junto con la dedicación de 
más personal al proyecto, constituyen 
lo que los especialistas denominan el 
mantenimiento del sistema de progra- 
mación, que supone aproximadamente 
el 70 por ciento de los costes del ciclo 
de vida del desarrollo de un proyecto. 

Todo sistema de defensa contra mi- 
siles balísticos presenta dos problemas 
de mantenimiento singulares. El pri- 
mero y más importante es la elimina- 
ción de los fallos graves descubiertos 
después de que los programas estén ya 
en funcionamiento. El abanico de esos 
fallos puede extenderse desde un sím- 
bolo codificado incorrectamente hasta 
un defecto fundamental de diseño. El 
19 de junio de 1985, el Organismo para 
la Iniciativa de Defensa Estratégica 
acometió un experimento sencillo: la 
tripulación de la lanzadera espacial de- 
bía situar su nave de forma que un es- 
pejo montado en uno de los lados de la 
nave reflejara un rayo láser emitido 
desde la cima de una montaña situada 
a 10.023 pies sobre el nivel del mar. El 
experimento falló porque el programa 
de ordenador que controlaba los mo- 
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vimientos del vehículo interpretó que 
la información sobre la localización del 
láser la recibía en millas náuticas, no en 
pies, y preparó la lanzadera espacial 
para recibir un rayo emitido desde 
10.023 millas náuticas sobre el nivel del 
mar, en una inexistente montaña. El 
pequeño error de procedimiento tuvo 
poca trascendencia para la prueba, 
pues un segundo intento realizado po- 
cos días después terminó con éxito, 
pero muestra cómo hasta los más sim- 
ples errores pueden dar al traste con 
una misión. 

Aunque en el caso anterior pudo rec- 
tificarse el fallo fácilmente, depurar un 
sistema de defensa contra misiles balís- 
ticos requerirá un esfuerzo considera- 
blemente mayor. En particular, du- 
rante un ataque, el sistema de progra- 
mas de la dirección del combate debe 
recibir y procesar información de tal 
forma que actúe al mismo ritmo que se 
suceden las circunstancias externas al 
ordenador. Es decir, los programas de- 
ben trabajar a “tiempo real” [véase la 
figura 4]. Uno de los problemas a con- 
siderar cuando se trata de eliminar fa- 
llos en un paquete de programas a 
tiempo real es el de determinar por qué 
a veces unos programas que, con una 
configuración O equipamiento deter- 
minado funcionan bien, con otra con- 
figuración, ligeramente distinta de la 
anterior, no lo hacen. Por ejemplo, 
cierto misil que puede lanzar sin difi- 
cultad a velocidades supersónicas el 
avión F-4G Wild Weasel no funciona 
con el F/A-18 Hornet: un sistema de 
programación que funciona en el mo- 
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delo F-4G no es enteramente compa- 
tible con la aviónica instalada en el mo- 
delo F/A-18. 

Un segundo problema de especial 
significado en la eliminación de fallos 
en los programas a tiempo real es que 
a los analistas a menudo les resulta di- 
fícil producir recurrencias de errores, 
práctica esencial para localizarlos. La 
respuesta a tiempo real a menudo está 
determinada por factores como el 
tiempo de llegada de la información de 
los sensores, y esos factores determi- 
nantes del comportamiento de un pro- 
grama no siempre pueden reproducirse 
con la suficiente exactitud para encon- 
trar y eliminar el fallo. De hecho, para 
hallar un error hace falta conocer las 
circunstancias precisas que lo producen 
y, dado que ello no es siempre posible 
en grandes sistemas a tiempo real, los 
errores de programación se identifican 
en la práctica sólo en un sentido pro- 
babilístico. Los grandes programas de 
ordenador se desarrollan por medio de 
una serie de cambios conocidos sólo de 
forma incompleta. A partir de cierto 
punto, el programador no puede pre- 
decir con seguridad las respuestas del 
sistema y no le queda más remedio que 
confiar en que se alcance el resultado 
deseado. 


.S una complicación final en la 
eliminación de fallos de los pro- 
gramas a tiempo real: aun habiéndose 
localizado un error, puede que los in- 
tentos de eliminarlo no fructifiquen, 
pues la probabilidad de que al eliminar 
un error se introduzca otro (o más de 


4. UN PROGRAMA A “TIEMPO REAL” ha de ejecutarse al ritmoque defineuna escala de tiempos externa 
al soporte físico del ordenador. Un computador que controle el radar que emite señales hacia un vehículo 
de reentrada, para que un misil interceptor capte la señal reflejada, tendría que mantener la señal de radar 
sobre el vehículo de reentrada hasta que éste hubiera sido destruido. Si el radar se desviara de su objetivo 
demasiado pronto, el interceptor podría “perder” su objetivo, en especial si éste estuviera preparado para 
evadir interceptores. Probablemente el ordenador habría de apuntar el radar hacia otros vehículos, para 
interceptarlos. El programa habría de desviar el radar hacia un segundo vehículo una vez destruido el pri- 
mero, y ello con la rapidez necesaria para que el segundo interceptor alcance a derribar su objetivo. 
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uno) oscila entre el 15 y el 50 por 
ciento. Además, la mayoría de los erro- 
res de diseño que se revelan una vez 
puesto en servicio el sistema lo hacen 
tras un uso frecuente. La experiencia 
obtenida en el trabajo con grandes pro- 
gramas de control (que constan de en- 
tre 100.000 y dos millones de líneas de 
instrucción) sugiere que la probabili- 
dad de introducir un error importante 
al corregir otros es tan grande que sólo 
debe enmendarse una pequeña frac- 
ción de los fallos originales. 

En el contexto de la defensa total 
contra misiles balísticos debemos refle- 
xionar acerca de las consecuencias de 
un fallo que se manifestara de una 
forma impredictible e infrecuente. Los 
detalles del primer intento de lanza- 
miento de la lanzadera espacial cons- 
tituyen un buen ejemplo. La lanzadera, 
cuyos programas operativos a tiempo 
real ocupan unas 500.000 líneas de ins- 
trucciones, fracasó en su primer intento 
de despegue por un problema de sin- 
cronización entre los ordenadores de 
control de vuelo. El error de progra- 
mación causante del fallo se introdujo 
al corregir otro error previo dos años 
antes, y se hubiera manifestado, por 
término medio, en una de cada 67 
pruebas. 

Además de detectar y eliminar erro- 
res, un segundo aspecto del manteni- 
miento de un sistema de programación 
constituye también un obstáculo al de- 
sarrollo del sistema defensivo. El 
Equipo de Estudio de Tecnologías De- 
fensivas (DTST), organismo auspiciado 
por el Departamento de Defensa para 
examinar la fiabilidad de una defensa 
total contra misiles balísticos, sostiene 
que el sistema defensivo completo ne- 
cesitará un mínimo de 10 millones de 
líneas de instrucciones de programa- 
ción. Comparándolo con el sistema Ae- 
gis, éste resulta un orden de magnitud 
más pequeño. Si la estimación del prsr 
está infravalorada en un factor de dos, 
hasta el proyecto de desarrollo de pro- 
gramas más optimista comportaría más 
de 30.000 años-hombre de trabajo o, lo 
que es lo mismo, el trabajo de 3000 
programadores y analistas como mí- 
nimo, durante diez años. Por esa ra- 
zón, el proyecto ha de prever un mo- 
vimiento de personal que reducirá la 
memoria institucional del mismo. Así, 
durante los cambios de personal podría 
omitirse algún detalle esencial, como el 
de actualizar algún subprograma. Un 
ejemplo trágico de ese tipo de errores 
de coordinación ocurrió en 1979, 
cuando un avión de Air New Zealand 
chocó contra una montaña de la An- 


tártida porque su tripulación no fue ad- 
vertida de que los datos de entrada que 
señalaban el plan de vuelo del orde- 
nador de navegación se habían cam- 
biado. 

Otra posibilidad es que agentes so- 
viéticos trataran de sabotear el pro- 
yecto. Podrían introducir deliberada- 
mente en el sistema defectos difíciles 
de detectar, que aparecieran sólo du- 
rante un ataque real pero no durante 
las pruebas. Tampoco se puede dejar 
de lado la posibilidad de que un pro- 
grama pueda contener algún tipo de 
“bomba retardada” que produjera un 
fallo de los programas en un momento 
crítico. La precaución obvia contra ta- 
les acciones consistiría en imponer es- 
trictas medidas de seguridad que, por 
añadidura, inhibirían la comunicación 
entre el personal asignado a diferentes 
partes del sistema, incrementándose, 
por tanto, la posibilidad de importantes 
errores de programación no intencio- 
nados. 

Fortaleciendo la seguridad no se im- 
pide que la Unión Soviética obstaculice 
el sistema mediante otros medios. No 
existe razón para creer que los funcio- 
narios soviéticos que se enfrentaran a 
un sistema BMD norteamericano renun- 
ciaran a disimular las características de 
sus misiles balísticos y de sus cabezas 
nucleares o señuelos durante las prue- 
bas o durante su utilización real. Sin 
datos veraces sobre los misiles soviéti- 
cos, no cabría seguridad alguna acerca 
del funcionamiento del sistema de de- 
fensa americano. Es más, los rusos po- 
drían desarrollar tácticas nuevas O ar- 
mas que forzaran a los analistas nor- 
teamericanos a reprogramar el sistema 
de dirección del combate para afrontar 
nuevas amenazas. La acumulación de 
varios cambios a lo largo del tiempo 
probablemente conduciría a muchas in- 
teracciones imposibles de predecir y, 
en consecuencia, a la necesidad de un 
nuevo diseño del sistema. 


$ ha sugerido también que la ela- 
boración de programas para siste- 
mas extremadamente complejos podría 
aligerarse mediante el concurso de sis- 
temas inteligentes y de programación 
automática. En este sentido, un in- 
forme de la Agencia para Proyectos de 
investigación Avanzados de la De- 
fensa, DARPA, apuntaba la posibilidad 
de aplicar sistemas inteligentes a la de- 
fensa contra misiles balísticos. Los sis- 
temas inteligentes son descripciones 
detalladas, expresadas como reglas de 
programación, de los diversos algorit- 
mos deductivos que utilizan los exper- 
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simultáneas. Debido a defectos de programación, durante su primer ensayo en con= 


diciones reales falló en el derribo de 6 de 16 objetivos. Posteriormente se han reparado los errores del sistema. 
Una defensa total contra misiles balísticos, que constituye un sistema mucho más complicado y ambicioso, 
debería comportarse mucho mejor que el sistema Aegis, ya que su funcionamiento habría de ser correcto al 
primer intento; un fallo importante en la programación del sistema durante la primera prueba global po- 
siblementeno daría oportunidad a nuevas rectificaciones. Dada la imposibilidad de efectuar ensayos a gran 
escala, el primer ensayo de un sistema BmD sería un ataque real a gran escala de misiles balísticos. 


tos humanos para planear o tomar de- 
cisiones en cada una de sus especiali- 
dades. Así, los sistemas inteligentes 
utilizan algoritmos informales o reglas 
Tutinarias. Por ejemplo, uno de esos 
sistemas que tuviera la siguiente frase 
como dato: “El lanzamiento de un ICBM 
soviético supone una amenaza para los 
Estados Unidos”, podría invertir el or- 
den de la frase, y utilizarlo como regla 
legítima de deducción: “Si existe una 
amenaza contra los Estados Unidos se 
debe al lanzamiento de un 1icóm por 
parte soviética”. La validez de esta he- 
rramienta deductiva no puede apro- 
barse o desecharse usando el razona- 
miento habitual de la lógica formal; la 
frase no es cierta siempre, pero es pru- 
dente la mayoría de las veces. La fia- 
bilidad de los procedimientos de razo- 
namiento informal de los sistemas in- 
teligentes de programación deja 
abierta la posibilidad de que se pro- 
duzca un error debido a contradiccio- 
nes conceptuales profundamente arrai- 
gadas en el sistema. 

Hasta la fecha, la investigación en 
sistemas expertos se ha localizado en 
áreas bien definidas, como la bioquí- 
mica y la medicina interna. En esas 


áreas, la pericia humana se ha desarro- 
llado lo suficiente para que esos siste- 
mas resulten satisfactorios. Lo que no 
obsta para que esas técnicas tengan un 
alcance limitado. Quienes recomien- 
dan aplicar sistemas inteligentes a la di- 
rección del combate en el sistema de 
defensa contra misiles balísticos igno- 
ran que la pericia humana es fruto de 
la experiencia, y nadie domina los ata- 
ques de misiles nucleares por su expe- 
riencia práctica. 

Igualmente improbable es la idea de 
que la programación automática (el uso 
de programas de ordenador para escri- 
bir otros programas) pueda constituir 
una solución del problema. El coman- 
dante de las Fuerzas Aéreas Simon 
Worden, ayudante especial del director 
del Organismo para la Iniciativa de De- 
fensa Estratégica, acaba de manifestar: 
“Vamos a desarrollar nuevos sistemas 
de inteligencia artificial, para escribir 
los programas del sistema. La elimi- 
nación de sus errores también será co- 
metido del sistema de inteligencia arti- 
ficial”. Frases como esa inducen a 
error. La función fundamental de la 
programación automática consiste en 
aliviar las dificultades técnicas que 
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comporta traducir en programa las es- 
pecificaciones del diseño del sistema y 
modificar una codificación ya exis- 
tente. Sin embargo, aproximadamente 
la mitad de todos los errores de pro- 
gramación proceden de elecciones hu- 
manas y de decisiones tomadas durante 
las fases de planificación y diseño, que 
no pueden delegarse en una progra- 
mación automática. 


asándonos en el análisis anterior, 

mostramos ahora dos situaciones 
que ilustran cómo podrían fallar los 
programas de un sistema de defensa to- 
tal contra misiles balísticos. Suponga- 
mos que una estación de combate que 
ha interceptado con éxito dos misiles 
durante un ejercicio operativo utili- 
zando una guía electromagnética se en- 
frenta ahora a un ataque de misiles so- 
viéticos a gran escala. Inicialmente, los 
proyectiles lanzados desde la estación 
de combate destruyen sus objetivos 
pero, desafortunadamente, en la fase 
de diseño del sistema no se tuvo en 
cuenta que cuanto menor es la masa de 
un cuerpo mayor es su retroceso. A 
medida que se van lanzando proyecti- 
les, el retroceso es cada vez mayor, lo 
cual afecta a los algoritmos de puntería 
de la guía electromagnética. Así, los úl- 
timos proyectiles son demasiado lentos 
y no alcanzan sus objetivos en el mo- 
mento adecuado. Supongamos, tam- 
bién, que durante la fase inicial de una 
guerra nuclear, los dirigentes de las dos 
superpotencias acuerdan un alto el 
fuego. Los americanos descubren que 
el capitán de un submarino no recibirá 
el mensaje del cese de hostilidades a 
tiempo, pero confían en que los saté- 
lites de defensa estadounidenses derri- 
ben todos los misiles lanzados errónea- 
mente. Cuando el submarino ha lan- 
zado sus misiles, se advierte trágica- 
mente que no se había considerado la 
posibilidad de que los satélites destru- 
yeran armamento propio. Las armas 
explotan en la Unión Soviética con 
consecuencias catastróficas. 

Es poco probable que llegue a pro- 
ducirse alguno de los fallos descritos en 
este artículo, pues ya son errores pre- 
decibles. El problema fundamental no 
consiste en saber si el sistema tiene un 
determinado error, sino en conocer con 
qué probabilidad puede contener uno 
cualquiera de los millones de errores 
potenciales. La principal inquietud se 
centra, pues, en aquellos fallos poten- 
ciales cuya predicción sigue siendo im- 
posible. 

Todos los ejemplos citados aquí 
guardan relación con programas pla- 
neados, diseñados, redactados y que 





sufrieron un proceso de depuración por 
experimentados ingenieros de progra- 
mación: la mayoría, si no todos, hubie- 
ron de corregirse. La técnica general 
para subsanar estos errores, su descu- 
brimiento mediante el uso real del pro- 
grama y su posterior correción, difícil- 
mente será útil en el desarrollo de un 
sistema BMD. Así, un sistema de de- 
fensa total contra misiles balísticos re- 
quiere no sólo que los programas fun- 
cionen bien la primera vez en un en- 
torno impredecible y sin haberse so- 
metido a pruebas de gran escala, sino 
también que sus diseñadores estén se- 
guros de que lo haga. La administra- 
ción Reagan ha manifestado que las 
pruebas empíricas son esenciales para 
mantener la seguridad de las armas nu- 
cleares y, por ese motivo, se ha opuesto 
a una prohibición global de las prue- 
bas. Cabe preguntarse quién confiará 
en un sistema de defensa total contra 
misiles balísticos, que, cuando menos, 
será tan complicado como lo son ahora 
las armas nucleares, sin que haya de- 
mostrado su capacidad de superar 
pruebas comparables. 


TE partidarios de la Iniciativa de 
Defensa Estratégica aducen que, 
incluso sin pruebas empíricas a gran es- 
cala, es deseable un sistema de defensa 
contra misiles balísticos, porque la po- 
sibilidad de que el sistema funcionara 
razonablemente bien disuadiría a los 
dirigentes soviéticos a plantearse la po- 
sibilidad de un ataque. Otros argumen- 
tan que los objetivos de la Iniciativa de 
Defensa Estratégica son realmente más 
modestos que los de un sistema de de- 
fensa total contra misiles balísticos, y 
que quizás un sistema BMD resulte más 
apropiado para proteger asentamientos 
militares, como los silos de misiles. Na- 
turalmente, frente a objetivos más li- 
mitados que los de la defensa total con- 
tra misiles balísticos, la perfección ya 
no es un requisito imprescindible y, por 
tanto, la ejecución de ensayos resulta 
mucho más fácil. Aunque un programa 
con objetivos más limitados tenga una 
probabilidad más alta de éxito, la pro- 
pia limitación plantea un nuevo pro- 
blema, en concreto, la contradicción 
con la visión planteada por el presi- 
dente Reagan de eliminar la amenaza 
de los misiles balísticos nucleares. En 
consecuencia, nos parece oportuno juz- 
gar la fiabilidad de la Iniciativa de De- 
fensa Estratégica en razón del reto que 
el presidente plantea a la comunidad 
científica. Y no parece previsible nin- 
guna tecnología de programación que, 
hoy por hoy, dé soporte a un sistema 
de defensa contra misiles balísticos. 
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